Descubrir que tu página WordPress ha sido hackeada es una de esas situaciones en las que resulta muy fácil actuar con prisas. De repente aparecen redirecciones hacia dominios desconocidos, avisos de seguridad en el navegador, cambios que nadie ha realizado, usuarios administradores sospechosos o un consumo anormal de recursos en el servidor. En otros casos, la primera señal es todavía más directa: ya no puedes acceder al panel de administración.
En mi experiencia, las primeras 24 horas son decisivas. No solo determinan cuánto tardará la web en recuperarse, sino también si el atacante mantiene una puerta de entrada, si los visitantes continúan expuestos y si el incidente termina afectando a formularios, correos, pedidos, cuentas de clientes o datos almacenados.
El error más común es confundir rapidez con improvisación. Cuando algo falla, el primer impulso suele ser borrar archivos, reinstalar plugins o restaurar inmediatamente una copia de seguridad. El problema es que esas acciones pueden eliminar pruebas importantes, ocultar la causa del ataque o devolver la página a un estado que ya estaba comprometido.
Las primeras horas no son para tocar todo lo que parezca sospechoso. Son para contener el incidente, conservar información, asegurar los accesos y seguir un orden.
En esta guía voy a explicar qué hacer durante los primeros 15 minutos, la primera hora y el resto de las primeras 24 horas. El objetivo no es garantizar que cualquier ataque quede resuelto en un solo día, porque algunos incidentes requieren una investigación más larga. El objetivo es tomar las decisiones correctas desde el principio y evitar que el problema empeore.
Cómo saber si tu WordPress ha sido hackeado
No todos los ataques se manifiestan de la misma forma. Algunas infecciones son muy evidentes y otras permanecen ocultas durante semanas, esperando a determinados visitantes, dispositivos o motores de búsqueda.
Por eso, antes de empezar a limpiar, conviene confirmar qué está ocurriendo y qué partes del sitio podrían estar afectadas.
Una de las señales más habituales es que la página redirija a los visitantes hacia otro dominio. Puede tratarse de una tienda falsa, una página de apuestas, contenido para adultos, una descarga de software o una web que intenta robar credenciales.
Estas redirecciones no siempre aparecen al propietario de la página. Algunos códigos maliciosos comprueban si el visitante ha iniciado sesión, desde qué país accede, qué dispositivo utiliza o si llega desde Google. Como consecuencia, el administrador puede navegar con aparente normalidad mientras los usuarios son enviados hacia páginas fraudulentas.
También conviene prestar atención a:
- Avisos de sitio peligroso en el navegador.
- Mensajes de malware o phishing.
- Ventanas emergentes que no estaban configuradas.
- Anuncios desconocidos.
- Enlaces añadidos dentro del contenido.
- Cambios inesperados en la portada.
- Páginas nuevas creadas automáticamente.
- Resultados extraños al buscar el dominio en Google.
Una sola señal no siempre confirma un ataque, pero varias anomalías simultáneas justifican una revisión inmediata.
Usuarios administradores y accesos que no reconoces
Otro indicador importante es la aparición de usuarios administradores desconocidos. En muchos ataques, el objetivo no es únicamente modificar archivos, sino conservar un acceso legítimo al panel.
Revisa la lista completa de usuarios y presta especial atención a:
- Administradores que nadie recuerda haber creado.
- Nombres que imitan cuentas legítimas.
- Direcciones de correo desconocidas.
- Cambios recientes de permisos.
- Cuentas antiguas que ya no deberían existir.
- Usuarios con nombres genéricos como “support”, “system” o “admin2”.
También debes sospechar si una contraseña deja de funcionar, si recibes correos de recuperación que no has solicitado o si el sistema te desconecta constantemente.
En mi caso, nunca considero suficiente cambiar únicamente la contraseña principal. Si el atacante ha creado otra cuenta, mantiene una sesión activa o dejó una puerta trasera en los archivos, podrá volver a entrar aunque la nueva contraseña sea segura.
Archivos modificados y consumo anormal del servidor
Los cambios en el servidor también pueden revelar una infección:
- Archivos PHP dentro de la carpeta de subidas.
- Plugins o temas que nadie ha instalado.
- Fechas de modificación recientes en archivos antiguos.
- Archivos con nombres parecidos a componentes legítimos.
- Código ofuscado o difícil de leer.
- Cambios en
.htaccessowp-config.php. - Nuevas tareas programadas.
- Consumo elevado de CPU o memoria.
- Envío masivo de correos.
- Espacio en disco ocupado repentinamente.
Un pico de recursos no demuestra por sí solo que WordPress esté hackeado, porque también puede deberse a tráfico, errores o procesos legítimos. Sin embargo, combinado con redirecciones, archivos nuevos o usuarios sospechosos, se convierte en una señal relevante.
Primeros 15 minutos: no borres nada y limita el daño
Los primeros minutos deben dedicarse a comprender la situación y reducir el impacto. Todavía no es el momento de borrar archivos, sobrescribir carpetas o instalar herramientas al azar.
Comprueba qué está ocurriendo antes de actuar
Haz una revisión rápida desde distintos contextos:
- Abre la web sin iniciar sesión.
- Utiliza una ventana privada.
- Comprueba varias páginas, no solo la portada.
- Prueba desde un móvil y un ordenador.
- Revisa si el problema aparece al llegar desde un buscador.
- Comprueba si puedes acceder a
wp-admin. - Lee los avisos enviados por el hosting.
- Revisa si Google o el navegador muestran advertencias.
Anota lo que observas. Guarda capturas de las redirecciones, mensajes de error, usuarios desconocidos o cambios visuales. Esta información puede resultar muy útil durante la investigación.
También conviene identificar si el incidente afecta solo a WordPress o si existen señales en otros servicios relacionados, como el correo, el panel de hosting o las cuentas FTP.
Pon la web en mantenimiento cuando exista riesgo para los usuarios
Si la página está distribuyendo malware, mostrando contenido fraudulento, capturando datos o redirigiendo a los visitantes, considero preferible limitar temporalmente el acceso.
Es mejor tener la web unas horas en mantenimiento que continuar exponiendo a los usuarios.
La forma concreta de hacerlo dependerá del acceso disponible. Puede aplicarse una página de mantenimiento, una restricción desde el servidor o un bloqueo temporal de determinadas áreas. Lo importante es evitar una acción destructiva que elimine archivos o registros.
En una tienda WooCommerce, la decisión debe tomarse todavía más rápido si existe la posibilidad de que el proceso de compra, las pasarelas de pago o las cuentas de clientes hayan sido manipuladas.
No actualices, reinstales ni restaures todavía
Durante estos primeros minutos evita:
- Borrar el archivo que parece causar la redirección.
- Sobrescribir todo WordPress sin guardar el estado actual.
- Reinstalar todos los plugins.
- Instalar varios plugins de seguridad al mismo tiempo.
- Restaurar automáticamente el backup más reciente.
- Eliminar usuarios sin registrar primero sus datos.
- Cambiar configuraciones sin documentarlas.
Estas acciones pueden hacer desaparecer el síntoma visible, pero también destruir información necesaria para descubrir por dónde entró el atacante.
Primera hora: conserva evidencias del ataque
Aunque pueda parecer contradictorio, antes de limpiar una página infectada conviene guardar una copia completa de su estado actual.
No se trata de conservarla para volver a publicarla. Se trata de preservar información que puede ayudar a identificar la vía de entrada, la fecha aproximada del ataque y los mecanismos utilizados para mantener el acceso.
Crea una copia de los archivos y la base de datos
La copia debería incluir:
- Todos los archivos de WordPress.
- La base de datos.
- Los archivos de configuración.
- Los plugins y temas instalados.
- La carpeta de subidas.
- Las reglas del servidor.
- Cualquier archivo desconocido o sospechoso.
Cuando sea posible, guarda esta copia fuera del servidor afectado y etiquétala claramente como comprometida. Así evitarás confundirla más adelante con una copia limpia.
No la utilices directamente para restaurar la página.
Guarda los registros de acceso y errores
Los registros del servidor pueden revelar:
- Accesos desde direcciones desconocidas.
- Peticiones repetidas contra un archivo vulnerable.
- Subidas de archivos.
- Errores provocados por código malicioso.
- Intentos de inicio de sesión.
- Actividad en horarios poco habituales.
- Cambios realizados antes de aparecer los primeros síntomas.
Conviene conservar los logs de acceso, errores, FTP, SFTP y panel de hosting, siempre que estén disponibles.
En mi experiencia, actuar demasiado rápido puede borrar precisamente las pistas que después necesitamos para entender el ataque. Limpiar sin conservar información puede solucionar el síntoma, pero complica mucho la búsqueda de la causa.
Anota cuándo aparecieron los primeros síntomas
Prepara una pequeña cronología:
- Cuándo se detectó el primer problema.
- Qué persona lo descubrió.
- Qué síntoma apareció primero.
- Cuáles fueron las últimas actualizaciones.
- Qué plugins o temas se instalaron recientemente.
- Si se creó algún usuario.
- Si hubo una migración o cambio de hosting.
- Si se compartieron accesos con terceros.
- Si se recibieron alertas anteriores.
Esta cronología será útil para elegir una copia de seguridad, revisar modificaciones y relacionar el incidente con una vulnerabilidad o credencial comprometida.
Horas 1–3: asegura todos los accesos
Cambiar las credenciales es imprescindible, pero debe hacerse con un orden lógico y desde un dispositivo que consideres seguro.
Si el correo principal está comprometido, el atacante podría utilizarlo para recuperar el resto de las cuentas. Por eso, conviene revisar primero el acceso al correo asociado a la administración.
Cambia las contraseñas en el orden correcto
Un orden razonable sería:
- Correo electrónico principal.
- Cuenta del proveedor de hosting.
- Panel de administración de WordPress.
- Accesos SFTP, FTP o SSH.
- Usuario de la base de datos.
- Servicios externos conectados.
- Cuentas de administradores adicionales.
Utiliza contraseñas largas, únicas y generadas específicamente para cada servicio. No reutilices una contraseña que ya emplees en otras plataformas.
Si varias personas administran la página, evita las cuentas compartidas. Cada usuario debería disponer de su propio acceso para poder identificar acciones y revocar permisos cuando sea necesario.
Cierra sesiones y regenera las claves de seguridad
Cambiar la contraseña no siempre invalida todas las sesiones existentes.
También conviene:
- Cerrar las sesiones activas.
- Regenerar las claves de seguridad de WordPress.
- Revocar claves API que no reconozcas.
- Revisar conexiones con herramientas externas.
- Eliminar accesos de antiguos colaboradores.
- Comprobar integraciones con servicios de correo, analítica o automatización.
Las claves de seguridad de WordPress ayudan a invalidar cookies y sesiones. Regenerarlas obliga a los usuarios a autenticarse de nuevo.
Elimina usuarios desconocidos y activa la verificación en dos pasos
Antes de eliminar una cuenta sospechosa, documenta:
- Nombre de usuario.
- Correo electrónico.
- Fecha de creación, si está disponible.
- Nivel de permisos.
- Contenido asignado.
- Actividad relacionada.
Después podrás eliminarla o reducir sus permisos.
Activa la verificación en dos pasos para los administradores y revisa si realmente todos necesitan privilegios elevados. Cuantas más cuentas administrativas existan, mayor será la superficie de riesgo.
Cambiar las contraseñas es imprescindible, pero no es suficiente. Si existe código malicioso dentro del servidor, un usuario oculto o una tarea programada que vuelve a crear accesos, el problema continuará.
Horas 3–8: localiza la causa y limpia el malware
Esta suele ser la fase más delicada. El objetivo no es únicamente eliminar el archivo visible, sino revisar todos los lugares donde el atacante puede haber dejado código, usuarios o mecanismos de persistencia.
Compara el núcleo de WordPress con una instalación original
Los archivos del núcleo pueden compararse con los de la versión oficial correspondiente.
La revisión debe localizar:
- Archivos que no pertenecen al núcleo.
- Cambios dentro de archivos originales.
- Código añadido al principio o al final.
- Nombres similares a archivos legítimos.
- Carpetas nuevas.
- Archivos con permisos extraños.
Cuando sea posible, sustituye el núcleo por una copia original de la misma versión o por una versión actualizada compatible. Sin embargo, esa acción debe realizarse después de conservar el estado comprometido y revisar los archivos que podrían contener información útil.
Analiza plugins, temas y la carpeta de subidas
Los plugins y temas son puntos habituales de entrada o persistencia, especialmente cuando están abandonados, desactualizados o proceden de fuentes no legítimas.
Revisa:
- Plugins que nadie recuerda haber instalado.
- Extensiones desactivadas que siguen presentes.
- Temas antiguos.
- Archivos modificados recientemente.
- Código ofuscado.
- Funciones que descargan scripts externos.
- Archivos PHP en carpetas donde no deberían existir.
- Componentes con nombres parecidos a plugins conocidos.
La carpeta uploads merece una revisión especial. Normalmente contiene imágenes y documentos, por lo que la presencia de ejecutables o archivos PHP debe investigarse.
Revisa .htaccess, wp-config.php y las tareas programadas
Una infección puede utilizar .htaccess para redirigir visitantes, ocultar contenido o ejecutar reglas distintas según el dispositivo o el origen del tráfico.
En wp-config.php pueden aparecer:
- Inclusiones de archivos desconocidos.
- Código añadido.
- Credenciales modificadas.
- Configuraciones que permiten ejecutar contenido externo.
Las tareas programadas también pueden volver a crear archivos eliminados, añadir usuarios o descargar malware periódicamente. Por eso, una web puede parecer limpia durante unas horas y volver a infectarse después.
Busca modificaciones en la base de datos
El código malicioso no siempre está en los archivos. También puede ocultarse en:
- Opciones de WordPress.
- Contenido de entradas y páginas.
- Widgets.
- Metadatos.
- Perfiles de usuario.
- Tablas añadidas.
- URLs almacenadas.
- Scripts insertados en configuraciones del tema.
Una limpieza completa debe revisar archivos y base de datos.
No confundas el síntoma con la causa
Eliminar el archivo que provoca una redirección no significa que WordPress esté limpio.
La vía de entrada puede seguir abierta en un plugin vulnerable. También puede existir otra puerta trasera, una cuenta administrativa o una tarea programada que restaure el código.
En mi opinión, una limpieza profesional debe responder a tres preguntas:
- ¿Qué elementos han sido modificados?
- ¿Cómo consiguió entrar el atacante?
- ¿Qué debemos cambiar para impedir que vuelva?
Si solo respondemos a la primera, la recuperación estará incompleta.
Horas 8–12: decide si limpiar o restaurar una copia
Una copia de seguridad puede acelerar mucho la recuperación, pero solo cuando su fecha y su contenido ofrecen garantías suficientes.
Restaurar el backup más reciente sin comprobarlo puede devolver a producción la misma vulnerabilidad o una puerta trasera que todavía no había mostrado síntomas.
Cómo comprobar si una copia de seguridad es anterior al ataque
No basta con mirar la fecha del archivo.
Compara:
- La fecha del backup.
- La cronología de los primeros síntomas.
- Las fechas de modificación de los archivos.
- Los usuarios presentes en la copia.
- Las versiones de WordPress, plugins y temas.
- Los registros disponibles.
- Los cambios realizados en días anteriores.
En mi caso, nunca daría por limpia una copia únicamente porque tenga una semana de antigüedad. Primero comprobaría si el ataque pudo comenzar antes y permanecer oculto.
Cuándo conviene restaurar el backup
La restauración puede ser una buena opción cuando:
- Existe una copia anterior al incidente.
- La copia ha sido revisada.
- Permite recuperar contenido o configuración fiable.
- Se ha conservado una copia del estado comprometido.
- Se ha identificado o reducido la posible vía de entrada.
- Se van a actualizar los componentes vulnerables.
- Se renovarán todas las credenciales.
En sitios con cambios constantes, como una tienda WooCommerce, también hay que considerar la pérdida de pedidos, clientes o contenido generado después de la fecha de la copia.
Puede ser necesario combinar una copia limpia de archivos con una revisión específica de los datos más recientes.
Qué debes corregir antes de volver a publicar la web
Después de limpiar o restaurar:
- Actualiza WordPress.
- Actualiza plugins y temas.
- Elimina componentes sin uso.
- Sustituye extensiones abandonadas.
- Instala únicamente software de fuentes legítimas.
- Revisa los permisos.
- Renueva credenciales.
- Activa la verificación en dos pasos.
- Corrige la configuración insegura.
- Comprueba que no quedan tareas sospechosas.
Para mí, una restauración solo está completa cuando se ha identificado y corregido la vía de entrada. De lo contrario, únicamente estamos retrasando el siguiente incidente.
Horas 12–18: comprueba que la web funciona y está limpia
Una página puede volver a cargar correctamente y seguir comprometida. Por eso, antes de reabrirla por completo hay que revisar sus funciones y repetir parte del análisis.
Revisa las funciones esenciales de WordPress
Comprueba:
- Acceso al panel.
- Navegación pública.
- Formularios de contacto.
- Buscador.
- Descargas.
- Enlaces internos.
- Correos enviados desde la web.
- Integraciones con servicios externos.
- Áreas privadas.
- Roles y permisos.
No te limites a abrir la portada. Recorre páginas profundas y procesos completos.
Comprueba redirecciones desde varios dispositivos
Realiza pruebas:
- Sin iniciar sesión.
- En una ventana privada.
- Desde un móvil.
- Desde un ordenador.
- Con distintos navegadores.
- Accediendo desde Google.
- Visitando varias URLs directamente.
Algunos ataques están diseñados para ocultarse al administrador o activarse únicamente una vez por visitante. Por eso, una comprobación superficial puede no detectar el problema.
Verifica archivos, usuarios y tareas programadas una segunda vez
Repite el control de:
- Archivos modificados.
- Usuarios administradores.
- Tareas programadas.
- Plugins activos.
- Reglas de redirección.
- Opciones de la base de datos.
- Consumo de recursos.
- Correos salientes.
También conviene ejecutar una nueva comparación de integridad después de la limpieza para disponer de un punto de referencia.
Que la portada funcione no significa que el incidente esté resuelto. El código malicioso puede seguir oculto en una tabla de la base de datos, una tarea programada o un archivo que solo se ejecuta ante determinadas condiciones.
Si tienes WooCommerce, revisa estas áreas antes de reabrir
Una tienda WooCommerce requiere comprobaciones adicionales. El objetivo no es únicamente recuperar el diseño o el acceso al panel, sino asegurarse de que el proceso de compra y los datos relacionados continúan siendo fiables.
Pedidos y cuentas de clientes
Revisa:
- Pedidos recientes.
- Cambios de estado inesperados.
- Direcciones modificadas.
- Cuentas nuevas sospechosas.
- Usuarios con permisos elevados.
- Reembolsos o cancelaciones no autorizados.
- Notas añadidas a los pedidos.
- Datos de clientes modificados.
Compara la actividad con la información disponible en los sistemas de pago, correo o gestión del negocio.
Pasarelas de pago y proceso de compra
Comprueba:
- Configuración de cada pasarela.
- Identificadores y claves API.
- URLs de retorno.
- Scripts externos cargados en el checkout.
- Métodos de pago nuevos.
- Campos añadidos al formulario.
- Funcionamiento del carrito.
- Confirmación de pedidos.
- Página de agradecimiento.
Realiza una compra de prueba en un entorno seguro y verifica que el pago, el pedido y los correos se procesan correctamente.
Correos, cupones y webhooks
También debes revisar:
- Correos transaccionales.
- Direcciones de envío.
- Plantillas modificadas.
- Cupones creados recientemente.
- Webhooks.
- Automatizaciones.
- Integraciones con CRM, facturación o logística.
- Tareas programadas relacionadas con pedidos.
En una tienda, reabrir demasiado pronto puede generar un problema mayor que unas horas de mantenimiento. Yo no volvería a aceptar pedidos hasta haber comprobado el proceso completo.
Horas 18–24: vuelve a publicar y vigila la actividad
Una vez que la página está limpia, actualizada y comprobada, puede volver a publicarse de forma controlada.
Sin embargo, el trabajo no termina en ese momento.
Supervisa accesos, archivos y recursos del servidor
Durante las siguientes horas presta atención a:
- Nuevos inicios de sesión.
- Intentos fallidos.
- Creación de usuarios.
- Archivos modificados.
- Cambios en
.htaccess. - Tareas programadas.
- Consumo de CPU y memoria.
- Correos enviados.
- Aparición de nuevas redirecciones.
- Alertas del hosting.
Un aumento repentino de actividad puede indicar que el atacante intenta recuperar el acceso o que todavía existe algún mecanismo de persistencia.
Comprueba Google Search Console y los avisos de seguridad
Si el dominio fue marcado como peligroso, comprueba el estado después de completar la limpieza.
Antes de solicitar una revisión, asegúrate de que:
- El malware se ha eliminado.
- Las páginas fraudulentas ya no existen.
- Las redirecciones han desaparecido.
- La vulnerabilidad se ha corregido.
- La web puede rastrearse correctamente.
Solicitar una revisión antes de terminar el trabajo puede retrasar el proceso y obligar a repetirlo.
Mantén una vigilancia reforzada durante los siguientes días
Aunque esta guía se centre en las primeras 24 horas, la monitorización debe continuar.
Revisa durante los días siguientes:
- Inicios de sesión.
- Archivos modificados.
- Consumo de recursos.
- Estado de indexación.
- Alertas de seguridad.
- Copias de seguridad.
- Funcionamiento de formularios y correos.
- Actividad de WooCommerce.
En mi experiencia, muchos propietarios se preocupan por la seguridad únicamente después del ataque. Durante unos días mantienen todo actualizado, pero poco a poco vuelven a aplazar tareas, conservar plugins abandonados o guardar copias que nunca se han comprobado.
La recuperación debería terminar con un nuevo sistema de mantenimiento, no con la vuelta a las mismas rutinas.
Qué no debes hacer si tu WordPress ha sido hackeado
Cuando existe presión por recuperar una página, es fácil tomar atajos. Estos son algunos de los errores que evitaría.
Restaurar cualquier copia sin comprobarla
Una copia reciente puede contener la misma infección. Comprueba siempre su fecha, componentes, usuarios y posibles modificaciones.
Cambiar solo la contraseña de WordPress
También debes proteger el correo, el hosting, SFTP, la base de datos y cualquier servicio conectado.
Borrar archivos sin conservar evidencias
Antes de eliminar contenido sospechoso, guarda una copia del estado actual y los registros disponibles.
Dar por resuelto el incidente porque desapareció la redirección
La redirección puede ser solo uno de los síntomas. Todavía podrían existir backdoors, usuarios o tareas programadas.
Mantener el mismo plugin vulnerable
Si la vía de entrada fue una extensión vulnerable, restaurar la web y conservarla sin corregir provocará que el problema reaparezca.
Reabrir WooCommerce sin probar pagos y pedidos
Una portada funcional no garantiza que el checkout, las pasarelas o los correos estén intactos.
Instalar herramientas al azar
Varias herramientas ejecutándose simultáneamente pueden modificar archivos, generar falsos positivos y dificultar la investigación.
Cuándo necesitas ayuda profesional
No todos los propietarios tienen acceso, conocimientos o tiempo para investigar una infección completa.
Conviene solicitar ayuda cuando:
- La infección reaparece después de limpiarla.
- No se conoce la vía de entrada.
- Existen varias puertas traseras.
- El hosting ha suspendido la cuenta.
- La web procesa pagos.
- Se almacenan datos personales.
- No hay una copia limpia.
- No puedes acceder al panel o al servidor.
- Los correos están siendo utilizados para enviar spam.
- Google ha marcado el sitio como peligroso.
- Hay varias webs afectadas dentro del mismo alojamiento.
Una intervención profesional debería ir más allá de borrar el archivo visible. Debe incluir el análisis de archivos y base de datos, la eliminación del código malicioso, la revisión de usuarios, la localización de mecanismos de persistencia, la restauración segura y la protección posterior.
En HostingTG, los planes de mantenimiento WordPress Premium y eCommerce contemplan la limpieza del hackeo, la eliminación del código malicioso y la restauración segura de los archivos. Según el plan contratado, el servicio también puede incluir actualizaciones controladas, sistemas antimalware, firewall, monitorización y copias de seguridad.
La ayuda profesional es especialmente recomendable en tiendas WooCommerce o páginas que reciben solicitudes, datos de clientes y pagos. En estos casos, el coste de una limpieza incompleta puede ser mucho mayor que el tiempo ahorrado con una solución rápida.
Cómo evitar que WordPress vuelva a ser hackeado
Ninguna medida elimina por completo el riesgo, pero una buena rutina reduce considerablemente la probabilidad de que una vulnerabilidad permanezca abierta durante semanas.
Mantén actualizados WordPress, plugins y temas
Las actualizaciones deben realizarse de forma controlada, con una copia previa y una comprobación posterior.
No conviene aplazarlas indefinidamente, especialmente cuando corrigen problemas de seguridad.
Elimina componentes abandonados o innecesarios
Cada plugin o tema instalado amplía la superficie de ataque, aunque esté desactivado.
Elimina:
- Plugins que no utilizas.
- Temas antiguos.
- Extensiones abandonadas.
- Componentes descargados desde fuentes dudosas.
- Usuarios que ya no necesitan acceso.
Utiliza copias de seguridad verificadas
Una copia solo resulta útil si:
- Se genera correctamente.
- Se guarda fuera del servidor principal.
- Conserva varias versiones.
- Puede restaurarse.
- Se comprueba periódicamente.
- Incluye archivos y base de datos.
Guardar copias sin probarlas puede generar una falsa sensación de seguridad.
Activa 2FA, firewall y monitorización
La verificación en dos pasos reduce el riesgo asociado a contraseñas robadas.
Un firewall, la monitorización de archivos y las alertas de seguridad ayudan a detectar actividad sospechosa antes de que el problema se haga visible para los visitantes.
Diferencia entre hosting y mantenimiento WordPress
WordPress no funciona de forma aislada. La seguridad depende también del entorno en el que está alojado.
Un hosting preparado para WordPress puede aportar:
- Copias de seguridad.
- Certificados SSL.
- Registros de acceso.
- Sistemas de protección.
- Herramientas de administración.
- Soporte técnico.
- Recursos adecuados.
El Hosting WordPress de HostingTG está diseñado específicamente para este CMS e incorpora almacenamiento NVMe, migración gratuita, certificados SSL, protección antispam y antivirus, además de soporte especializado.
Sin embargo, un buen hosting no sustituye un servicio de mantenimiento.
El hosting proporciona la infraestructura y las herramientas. El mantenimiento revisa la instalación, controla actualizaciones, detecta vulnerabilidades, comprueba copias, monitoriza cambios y actúa sobre WordPress.
En mi opinión, la combinación de ambos servicios es la forma más razonable de reducir el riesgo y acelerar la respuesta cuando ocurre un incidente.
Checklist de las primeras 24 horas
| Periodo | Prioridad | Acciones |
|---|---|---|
| Primeros 15 minutos | Confirmar y contener | Comprobar síntomas, guardar capturas, limitar el acceso si existe riesgo y evitar cambios destructivos |
| Primera hora | Conservar evidencias | Copiar archivos y base de datos, guardar registros y crear una cronología |
| Horas 1–3 | Asegurar accesos | Cambiar credenciales, cerrar sesiones, revisar administradores y activar 2FA |
| Horas 3–8 | Analizar y limpiar | Revisar núcleo, plugins, temas, uploads, .htaccess, tareas y base de datos |
| Horas 8–12 | Restaurar si procede | Verificar la copia, corregir la vía de entrada y actualizar componentes |
| Horas 12–18 | Probar la web | Comprobar formularios, correos, enlaces, usuarios, redirecciones y funciones esenciales |
| Horas 18–24 | Publicar y vigilar | Monitorizar accesos, archivos, recursos, Google y posibles señales de persistencia |
Lista rápida
- He confirmado los síntomas.
- He limitado el acceso si los usuarios estaban en riesgo.
- He guardado una copia del estado comprometido.
- He conservado los registros.
- He cambiado todas las credenciales.
- He cerrado las sesiones.
- He revisado los administradores.
- He analizado archivos y base de datos.
- He buscado tareas programadas y puertas traseras.
- He comprobado la fecha de la copia de seguridad.
- He corregido la vía de entrada.
- He actualizado WordPress, plugins y temas.
- He probado las funciones principales.
- He revisado WooCommerce, si corresponde.
- He activado la vigilancia posterior.
Dudas de la comunidad
¿Cambiar las contraseñas elimina el malware?
No. Cambiar las contraseñas impide algunos accesos, pero no elimina archivos maliciosos, usuarios ocultos, scripts, tareas programadas o modificaciones en la base de datos.
¿Puedo limpiar WordPress con un plugin de seguridad?
Un plugin puede ayudar a detectar archivos sospechosos o diferencias, pero no garantiza que se haya identificado la vía de entrada ni que se hayan eliminado todos los mecanismos de persistencia.
¿Cómo sé si una copia de seguridad está limpia?
Compara la fecha del backup con la cronología del ataque y revisa sus archivos, usuarios, plugins, temas y base de datos. Una copia anterior a los síntomas no siempre es anterior a la infección.
¿Cuánto se tarda en recuperar un WordPress hackeado?
Depende del tamaño de la web, el alcance del ataque, los accesos disponibles, la calidad de las copias y la existencia de puertas traseras. Las primeras 24 horas son críticas, pero no constituyen una garantía de recuperación completa.
¿Puede Google marcar mi dominio como peligroso?
Sí. Si detecta malware, phishing o contenido comprometido, puede mostrar advertencias de seguridad. Después de limpiar la página, conviene revisar Search Console y solicitar una revisión cuando corresponda.
¿Qué hago si no puedo acceder a wp-admin?
Utiliza el panel de hosting, SFTP, SSH o las herramientas disponibles en el servidor. Si tampoco tienes acceso a esos servicios, contacta con el proveedor de alojamiento o con un técnico especializado.
¿Cómo sé si la infección se ha eliminado por completo?
Debes comprobar archivos, base de datos, usuarios, tareas programadas, registros, redirecciones y funciones esenciales. Después, mantén una vigilancia reforzada para detectar cambios o nuevos accesos.
¿Cuánto cuesta limpiar una página WordPress infectada?
El coste depende del tamaño del sitio, la complejidad de la infección, el número de webs afectadas, el acceso disponible y la necesidad de recuperar datos. Una tienda WooCommerce suele requerir más comprobaciones que una página corporativa sencilla.
¿Entonces que pasa con mi WordPress?
Una página WordPress hackeada no se soluciona únicamente borrando lo que parece sospechoso.
Hay que contener el ataque, conservar información, proteger los accesos, localizar la causa, eliminar todos los elementos afectados, restaurar una versión segura y comprobar que el atacante no puede volver.
Las primeras 24 horas pueden marcar la diferencia entre una incidencia controlada y un problema que termine afectando al posicionamiento, la reputación, los formularios, los clientes o las ventas.
Por eso siempre recomiendo actuar rápido, pero con método.
Un hosting especializado aporta infraestructura, registros, copias y herramientas de recuperación. Un servicio de mantenimiento profesional añade revisiones, actualizaciones, monitorización y capacidad de respuesta sobre la propia instalación.
No se trata únicamente de recuperar la web. Se trata de entender qué ocurrió y dejarla mejor protegida que antes del ataque.
Opinión Personal
Descubrir que un WordPress ha sido hackeado no debería llevarnos a actuar de forma impulsiva, sino a seguir un proceso ordenado. Borrar archivos, restaurar una copia o cambiar una sola contraseña puede parecer suficiente, pero muchas veces solo oculta el problema durante unos días. La verdadera recuperación consiste en contener el ataque, encontrar la vía de entrada, eliminar cualquier puerta trasera y reforzar la seguridad para evitar una nueva infección.
También creo que la prevención sigue estando infravalorada. Mantener WordPress actualizado, eliminar plugins abandonados, utilizar contraseñas únicas, comprobar las copias de seguridad y contar con una monitorización activa puede ahorrar muchas horas de trabajo, pérdidas económicas y daños a la reputación. La seguridad no debería comenzar cuando aparece el primer aviso de malware, sino formar parte del mantenimiento habitual de cualquier página web.
¿Has tenido que recuperar alguna vez un WordPress hackeado? Cuéntanos en los comentarios qué ocurrió, cómo lo solucionaste y qué medida de seguridad consideras más importante.
